AUTORITÉ
DE SÛRETÉ
NUCLÉAIRE
DIVISION DE LYON
N/Réf. :
CODEP-LYO-2012-033029 Lyon, le 20/06/2012 Monsieur le Directeur du centre nucléaire de production d'électricité de Cruas-Meysse Electricité de France CNPE de Cruas-Meysse B 30 07 350 CRUAS
Objet :
Contrôle des installations nucléaires de base CNPE de Cruas-Meysse (INB n°111 et 112) Inspection n° INSSN-LYO-2012-0786 du 6 juin 2012 « Conduite accidentelle »
Référence :
Code de l'environnement, notamment ses articles L.596-1 et suivants Monsieur le Directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base prévu au code de l'environnement, aux articles L.596-1 et suivants, une inspection réactive a eu lieu le 6 juin 2012 sur le centre nucléaire de production d'électricité (CNPE) de Cruas-Meysse sur le thème « conduite accidentelle ».

J'ai l'honneur de vous communiquer ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui résultent des constatations faites, à cette occasion, par les inspecteurs.

## Synthèse De L'Inspection

L'inspection réactive du centre nucléaire de production d'électricité (CNPE) de Cruas-Meysse du 6 juin 2012 a porté sur l'analyse de deux incidents classés au niveau 1 de l'échelle internationale des événements nucléaires (INES) et survenus au cours des opérations de redémarrage du réacteur n°4 de l'établissement :
L'incident du 1 er juin 2012 relatif à l'indisponibilité cumulée de plusieurs chaînes de mesure de radioactivité (incident précédé d'un événement lié à l'arrêt automatique du réacteur et classé au niveau 0 de l'échelle INES) ; L'incident du 3 juin 2012 relatif à une erreur de maintenance ayant conduit à une fuite du circuit primaire dans le bâtiment du réacteur.

Les inspecteurs ont examiné les causes d'apparition de ces incidents et les opérations engagées par l'exploitant pour ramener le réacteur dans un état de fonctionnement conforme aux spécifications techniques d'exploitation.

ww.asn.fr A l'issue de cette inspection, il ressort que, de manière globale, l'organisation mise en place par EDF
pour la gestion de ces incidents a été satisfaisante. Les inspecteurs ont cependant relevé que plusieurs écarts de lignages et de mise en conformité de circuits attribuables à des problèmes d'organisation et d'erreurs humaines sont à l'origine de ces incidents.

## S A.  Demandes D'Actions Correctives

Incident du 1 et juin 2012 relatif à l'arrêt automatique du réacteur consécutif à l'atteinte du niveau très bas sur le générateur de vapeur n° 1 Le 1 er juin 2012, dans le cadre des opérations de redémarrage du réacteur n°4, la fermeture des vannes repérées 4 REN 191 à 196 VL et 4 REN 581 à 583 VL ainsi que la mise en service du circuit de purge
(APG) sur le générateur de vapeur (GV) n°1 a entrainé une baisse normale du niveau d'eau dans la partie secondaire du GV n°1 du réacteur à partir de 20h30.

A 21h14, un des opérateurs présents en salle de commande a détecté cette baisse du niveau d'eau dans le générateur de vapeur n°1 et a décidé d'augmenter le débit d'eau fourni par le circuit d'alimentation de secours (ASG) pour compenser cette baisse. A l'issue de cette action, il s'est rendu à la réunion de changement d'équipe (briefing) qui avait lieu de 21h à 21h30, laissant un unique opérateur en salle de commande qui était également occupé à réaliser l'essai périodique (EP) identifié EP RCV 170. Cependant, le débit d'eau fourni par le circuit ASG n'a pas permis de compenser la baisse du niveau d'eau dans la partie secondaire du générateur de vapeur : deux alarmes successives relatives à la baisse du niveau d'eau sont apparues à partir de 21h17 avant que, le niveau d'eau continuant à baisser, un arrêt automatique du réacteur ne se produise à 21h46.

Certains EP nécessitent la présence de deux opérateurs en salle de commande afin que la surveillance globale du réacteur ne soit pas perturbée par la réalisation de cette activité. Il n'a pas pu être précisément indiqué aux inspecteurs si l'EP référencé RCV 170 nécessitait la présence d'un deuxième opérateur en salle de commande. De plus, la réalisation d'un EP au moment de la relève des équipes de conduite n'apparaît pas opportune.

A1. Je vous demande d'indiquer les raisons pour lesquelles l'opérateur présent en salle de commande n'a pas réagi aux deux alarmes apparues à partir de 21h17 pour engager des actions permettant de stopper la baisse du niveau d'eau dans le GV n°1 et éviter la survenue de l'arrêt automatique du réacteur à 21h46.

A2. Je vous demande de préciser les critères définissant la nécessité de la présence d'un opérateur supplémentaire en salle de commande lors de la réalisation d'un essai périodique.

Vous préciserez en particulier si l'EP référencé RCV 170 nécessite une telle présence.

A3. Je vous demande de définir une organisation permettant d'éviter la réalisation d'EP
pouvant présenter un risque pour la sûreté lors de la relève des équipes de conduite.

A4. Je vous demande de préciser le contexte ayant conduit à planifier la réalisation de l'EP
référencé RCV 170 à l'occasion d'une relève des équipes de conduite.

Le 1 er juin 2012, alors que le réacteur n°4 était en phase de redémarrage à l'issue d'un arrêt pour mance programmée, les équipes de conduite ont constaté que les trois chaînes de mesure de radioactivité des générateurs de vapeur étaient inopérantes depuis plusieurs jours. Ce diagnostic est intervenu à la suite d'un arrêt automatique du réacteur (AAR).

Le passage du réacteur de l'état d'arrêt normal sur circuit de refroidissement à l'arrêt (AN/RRA) à l'état d'arrêt normal sur générateur de vapeur (AN/GV) nécessite la mise en disponibilité des chaînes de mesure de radioactivité repérées KRT 02 à 04 MA par ouverture des vannes du circuit d'échantillonnage nucléaire (REN) repérées 4 REN 191 à 196 VL et 4 REN 581 à 583 VL. Sur le site de Cruas-Meysse, cette mise en configuration des vannes est réalisée par le service chimie environnement prévention des risques (CEPR).

En prévision du passage du réacteur en AN/GV et selon vos procédures internes, la demande de lignage est effectuée oralement par le chargé d'affaires projet (CAP) à un technicien de son service lors du point quotidien. Le technicien consigne de manière libre les différentes demandes de son service sur une fiche de travail nommée « MERLIN » qui n'est pas archivée.

Le 31 mai 2012, le technicien qui avait reçu la consigne de réaliser ce lignage lors du point quotidien ne l'a pas effectuée : il a cependant informé l'opérateur chargé de la conduite que le lignage avait bien été effectué au moyen d'une fiche navette. En conséquence, l'opérateur a déclaré les chaînes repérées KRT 02 à 04 MA disponibles alors qu'elles ne l'étaient pas. La disponibilité de ces chaînes apparaît également dans le bilan gestionnaire du service CEPR préalable au passage du réacteur en AN/GV.

L'analyse de cet événement a montré l'absence générale de contrôle technique associé à l'activité de réalisation des lignages au sein du service CEPR ; de même, ce service n'a pas mis en place de procédure permettant de tracer leur réalisation effective.

Ces deux écarts constituent une non-conformité aux articles 8 et 11 de l'arrêté du 10 août 1984 relatif à la qualité de la conception, de la construction et de l'exploitation des installations nucléaires de base.

A5. Je vous demande de mettre en place sans délai une organisation conforme aux dispositions des articles 8 et 11 de l'arrêté du 10 août 1984 sur l'activité de lignage au sein du service CEPR.

Vous me rendrez compte de vos actions en ce sens.

A6. Je vous demande de mettre en place au sein du service CEPR une présentation systématique  des  risques  (notamment  dans  le   cadre   des  ré-job   briefings)   avant   toute réalisation d'activités pouvant impacter la sûreté. Vous me transmettrez la liste de ces opérations.

L'alarme repérée KRT 002 AA est apparue en salle de commande à 5h10 le 1 er juin en raison d'un débit insuffisant à travers les chaînes de mesure de radioactivité repérées KRT 02, 03 et 04 MA. Le réacteur étant alors en état d'AN/RRA, ces chaînes ne sont pas requises au titre des spécifications techniques d'exploitation et l'alarme n'est alors pas redevable d'une conduite à tenir.

Ces chaînes deviennent cependant requises lors du passage du réacteur dans l'état d'AN/GV. Avant ce changement d'état, le chef d'exploitation et l'ingénieur sûreté établissent de manière indépendante un bilan de l'état du réacteur au travers respectivement d'une gamme d'évaluation et de contrôle ultime
(ECU) et d'une gamme appelée ESPACE. Le matin du 1er juin, ces deux gammes mentionnent la présence de cette alarme. Le chef d'exploitation et l'ingénieur sûreté ont toutefois autorisé le passage du réacteur dans l'état AN/GV car ils ont attribué la présence de cette alarme à des dysfonctionnements que ces chaînes peuvent présenter lorsque la pression dans les générateurs de vapeur est faible
(inférieure à 10 bars), ce qui est le cas au moment du passage vers l'état AN/GV.

En parallèle, l'événement « KRT 5 » de groupe 2 au sens des spécifications techniques d'exploitation était en cours depuis le 31 mai 2012 en raison de l'indisponibilité fortuite de la chaîne repérée KRT 43 MA.

L'indisponibilité de cette chaîne de mesures repérée KRT 43 MA cumulée avec les indisponibilités des chaînes repérées KRT 02, 03 et 04 MA (si ces indisponibilités avaient été identifiées) est normalement redevable de l'événement « KRT 6 » de groupe 1 qui impose de replier le réacteur en état d'AN/RRA
sous 8 heures.

Cependant, malgré la présence de l'alarme repérée KRT 002 AA, les équipes de conduite ont choisi de considérer les chaînes repérées KRT 02, 03 et 04 MA comme disponibles en s'appuyant sur la doctrine fournie par un document qualité interne (intitulé « Gazette sûreté »). Ils ont en effet estimé que l'alarme KRT 002 AA était causée par un trop faible débit dans les chaînes de mesure imputable à la faible pression dans les générateurs de vapeur lors d'un redémarrage.

L'alarme signifiant le défaut de débit sur ces chaînes est donc restée active et l'événement « KRT 5 » de groupe 2 n'a pas été modifié en événement de groupe 1 « KRT6 ».

Le réacteur est alors passé dans le domaine AN/GV vers 8 heures le 1 er juin 2012. Avec la permanence de l'alarme repérée KRT 002 AA, l'équipe de conduite a une représentation erronée de l'état du réacteur puisque cette alarme provient de la fermeture des vannes repérées 4 REN 191 à 196 VL et 4 REN 581 à 583 VL qui rend totalement indisponibles les chaînes de mesure repérées KRT 02, 03 et 04 MA alors que les équipes de conduite pensent que l'alarme est liée à un dysfonctionnement fréquent de ces chaînes de mesure dans le domaine d'exploitation considéré (dysfonctionnement qui cesse avec la montée en pression du circuit primaire).

Au cours de la journée du 1 er juin 2012, avec la poursuite des opérations de redémarrage, la pression a évolué à la hausse et a notablement dépassé le seuil de 10 bars dans les générateurs de vapeur : la permanence de l'alarme repérée KRT 002 AA aurait dû amener les équipes de conduite à se réinterroger sur leur diagnostic initial. Cependant, aucun suivi particulier n'a été effectué sur cette alarme au cours de la journée pour confirmer si elle provenait effectivement d'un défaut de débit. Par ailleurs, même si le diagnostic initial des équipes de conduite avait été validé, la permanence en salle de commande de l'alarme repérée KRT 002 AA aurait pu masquer la survenue d'une réelle indisponibilité de ces matériels.

A7. Je vous demande, lors de l'apparition de l'alarme repérée KRT 002 AA, de veiller désormais à ce que les équipes de conduite s'assurent de la réelle disponibilité des chaînes de mesure d'activité. Vous modifierez vos doctrines internes en ce sens et veillerez à favoriser une application stricte des spécifications techniques d'exploitation.

A8. Je vous demande de justifier les raisons pour lesquelles aucun suivi particulier n'a été effectué par les équipes sur la permanence de l'alarme KRT 002 AA malgré l'augmentation de la pression dans les générateurs de vapeur.

A9. Je vous demande de m'indiquer si la conduite à tenir prescrite par la fiche d'alarme associée à l'alarme repérée KRT 002 AA a été strictement appliquée par les équipes de conduite.

## 

Incident du 3 juin 2012 relatif à une erreur de maintenance ayant conduit à une fuite du circuit primaire dans le

## Bâtiment Du Réacteur

Le 3 juin 2012, le critère de débit de fuite du circuit primaire du réacteur n°4 a été dépassé en raison d'un défaut de réglage du point neutre de la vanne repérée RCV 259 VP. Le point neutre de cette vanne a en effet été défini en se basant sur la réglette d'aide au réglage du point neutre, alors que cet étalon était lui-même positionné de manière erronée. A10. Je vous demande d'effectuer l'analyse organisationnelle permettant d'expliquer l'origine du réglage erroné de la réglette de référence. Vous vous réinterrogerez également sur la procédure de réglage du point neutre de vanne qui n'inclut pas la vérification systématique et préalable du positionnement adéquat de la réglette de référence. Les agents du service chargé de la conduite ont indiqué que le réglage du point neutre sur la vanne repérée RCV 259 VP doit être assorti d'un plombage en respect de leurs procédures. Cependant, les documents d'intervention du service robinetterie, chargé de réaliser les interventions sur cette vanne, ne comportent pas cette exigence. A11. Je vous demande de mettre en cohérence les procédures de ces deux services et de vous positionner sur la nécessité de poser un plombage pour ce type d'intervention.

Au cours du pilotage de l'incident, la mise en service du soutirage excédentaire du circuit de contrôle chimique et volumétrique (RCV) n'a pas pu être réalisée correctement du fait de l'absence de refroidissement des circuits via l'échangeur repéré RCV 021 RF en raison de la fermeture inappropriée de la vanne repérée RRI 310 VN.

La gamme de lignage qui a conduit à la fermeture de cette vanne le 26 avril 2012 est identifiée « Lignage remplissage RRI/RCP 02 BA ». Il est indiqué que les vannes repérées RRI 310 VN et RRI 319 VN
doivent être fermées si l'échangeur repéré RCV 021 RF est vide. Or, l'agent chargé du lignage a fermé ces deux vannes alors que l'échangeur était plein d'eau.

Interrogés sur ce point, vos représentants ont indiqué aux inspecteurs que la méthode permettant de déterminer si l'échangeur repéré RCV 021 RF est plein ou vide consiste à consulter un lecteur de débit. L'analyse de cette gamme de lignage a montré :
que la formulation retenue prête à confusion ; que la méthode pour déterminer si l'échangeur est plein ou vide n'est pas formalisée ;
-
que le contrôle technique réalisé sur une base documentaire par le chef d'exploitation

délégué sur cette activité concernée par la qualité n'a pas permis de diagnostiquer la fermeture de la vanne repérée RRI 310 VN.
Par ailleurs, la réalisation de la gamme de lignage identifiée « Lignage remplissage RCV 021 RF » le 25 avril 2012 avait préalablement conduit à ouvrir la vanne repérée RRI 310 VN. Cette position adéquate a été modifiée par la réalisation de la gamme identifiée « Lignage remplissage RRI/RCP 02 BA » le 26 avril 2012, ce qui conduit à s'interroger sur le bon ordonnancement de réalisation de ces deux lignages.

A12. Je vous demande de modifier la gamme « Lignage remplissage RRI/RCP 02 BA » afin de supprimer tout risque de confusion sur la fermeture des vannes repérées RRI 310 VN et RRI 319 VN en indiquant notamment la méthode de contrôle du remplissage de l'échangeur repéré RCV 021 RF.

A13. Je vous demande de préciser le contenu exact du contrôle technique réalisé par le chef d'exploitation délégué sur l'activité de lignage.

A14. Je vous demande de vérifier si l'articulation entre les deux gammes de lignage ssusmentionnées est correcte afin d'éliminer, le cas échéant, le problème de fermeture de la vanne repérée RRI 310 VN.

La fuite du circuit primaire générée par cet événement a finalement provoqué un débordement du réservoir repéré RPE 03 BA et du réservoir de décharge du pressuriseur à l'intérieur du bâtiment réacteur. Environ 150 mètres cubes d'eau du circuit primaire ont été répandus sur le radier à l'intérieur du bâtiment réacteur.

A15. Je vous demande d'établir un état des lieux complet des équipements dont l'intégrité a pu être remise en cause par les différents aléas associés à cet incident. Je vous demande d'en communiquer les résultats à la division de Lyon de l'ASN.

A16. Je vous demande d'effectuer une décontamination complète des locaux affectés par le déversement d'eau du circuit primaire à l'intérieur du bâtiment réacteur.

## S Opérations De Lignage Et De Mise En Configuration Des Circuits Sur Le Réacteur N°4

Ces deux évènements mettent en lumière des insuffisances dans les activités de lignage et de mise en configuration des circuits.

A17. Avant de procéder à de nouvelles opérations de redémarrage du réacteur n°4, je vous demande de mettre en place les dispositions nécessaires afin d'éviter le renouvellement des événements survenus les 1ª et 3 juin 2012. Vous mettrez notamment notamment en œuvre :
un renforcement du contrôle technique des opérations de lignage et de mise en configuration des circuits ;
un audit des opérations de lignage et de mise en configuration des circuits.

Un bilan de ces actions sera transmis préalablement à la demande de redivergence que vous formulerez auprès de l'ASN.

## B. Demande D'Informations Complémentaires

Incident du 1 er juin 2012 relatif à l'arrêt automatique du réacteur consécutif à l'atteinte du niveau très bas sur le générateur de vapeur n° 1 La relève d'équipe a eu lieu entre 21h et 21h15. Si les informations relatives à l'instabilité du niveau du GV ont été communiquées oralement par les opérateurs de l'équipe descendante aux opérateurs de l'équipe montante lors de la relève, elles n'ont pas été formalisées dans le cahier de quart.

B1 : Je vous demande de justifier l'absence de formalisation, dans le cahier de quart, de cette information. Je vous demande également de systématiser la formalisation, dans le cahier de quart, des éléments importants, en particulier les instabilités thermohydrauliques, notamment lors des relèves de quart.

 S

## Incident Du 1Er Juin 2012 Relatif À L'Indisponibilité Cumulée De Plusieurs Chaînes De Mesure De Radioactivité

Vos agents ont indiqué qu'il n'existait pas d'outil ou d'automatisme adaptés permettant de piloter le niveau d'eau des générateurs de vapeur afin de se prémunir du risque d'instabilité. B2 : Je vous demande de m'indiquer comment est décliné de manière opérationnelle sur le site de Cruas-Meysse la règle de conduite référencée « DEM2 » pour ce qui concerne le réglage des niveaux d'eau dans les générateurs de vapeur. Vous préciserez en particulier si des consignes écrites sont à disposition des agents.

## Incident Du 3 Juin 2012 Relatif À Une Erreur De Maintenance Ayant Conduit À Une Fuite Du Circuit Primaire Dans Le Bâtiment Du Réacteur.

Cet événement a montré que l'approche par états (APE) appliquée au titre de la conduite incidentelle pour amener le réacteur n°4 dans un état sûr n'était pas adaptée à une défaillance se situant au niveau du soutirage excédentaire du circuit RCV.

En effet, après avoir diagnostiqué l'absence de fuite sur le circuit RCV à l'extérieur du bâtiment réacteur, la règle de conduite gérant les fuites sur le RCV ne prévoit explicitement que d'éventuelles fuites sur les lignes de charge et décharge. Aussi, en cas de fuite à l'intérieur du bâtiment réacteur, les opérateurs isolent la charge et la décharge conformément aux spécifications de la conduite APE. Pour retrouver une exploitation aisée de la chaudière, la conduite APE valorise une substitution prévue à la conception en mettant en service la ligne de soutirage excédentaire : dans le cas de l'événement du 3 juin 2012, cette mise en service a aggravé la fuite existante qui était localisée précisément sur cette ligne de soutirage excédentaire.

Après l'analyse de vos équipes d'astreinte et en accord de la direction d'EDF, vous avez pris la décision de déroger à l'APE en remettant en service la charge et la décharge du circuit RCV et en isolant la ligne de soutirage excédentaire. Cette décision, validée conformément à la doctrine par l'agent exerçant la fonction PCD1 lors de l'incident, a permis d'annuler la fuite tout en retrouvant des conditions de conduite globalement satisfaisantes.

B3. Je vous demande de tirer profit du retour d'expérience de cet événement et d'étudier la possibilité d'une modification des consignes APE afin de se prémunir d'un risque d'aggravation d'un incident situé au niveau du soutirage excédentaire du circuit RCV.

  

## C. Observations

Néant.

## B

Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai de deux mois, sauf mention particulière. Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Dans le cas où vous seriez contraint par la suite de modifier l'une de ces échéances, je vous demande également de m'en informer.

Je vous prie d'agréer, Monsieur le Directeur, l'assurance de ma considération distinguée.

Le chef de la division de Lyon de l'ASN
Signé par Grégoire DEYIRMENDJIAN